الامتثال والحوكمة
ما ضوابط الأمن السيبراني للأنظمة الحساسة (CSCC) الصادرة عن الهيئة الوطنية للأمن السيبراني؟
تضيف CSCC-1:2019 الصادرة عن الهيئة الوطنية للأمن السيبراني 32 ضابطاً أساسياً إلى الضوابط الأساسية للأمن السيبراني (ECC) للأنظمة الحساسة في المملكة العربية السعودية. على مَن تنطبق، وكيف تُحدَّد الأنظمة، وما الذي تضيفه.
بقلم Vigilbaseنُشر في
ضوابط الأمن السيبراني للأنظمة الحساسة (CSCC-1:2019) هي المتطلبات الإضافية التي وضعتها الهيئة الوطنية للأمن السيبراني للأنظمة التي تحددها الجهات السعودية على أنها حساسة. وقد أعدّتها الهيئة امتداداً للضوابط الأساسية للأمن السيبراني (ECC) ومُكمِّلاً لها، لذا يجب على الجهة الاستمرار في الالتزام بالضوابط الأساسية للأمن السيبراني لتحقيق الالتزام الكامل بضوابط الأمن السيبراني للأنظمة الحساسة. وتتألف CSCC من 4 مكونات أساسية و21 مكوناً فرعياً و32 ضابطاً أساسياً و73 ضابطاً فرعياً، تُطبَّق على الأنظمة الحساسة في الجهات الحكومية وفي الشركات التابعة للجهات الحكومية أو الخاصة.
مَن يجب عليه تطبيق ضوابط الأمن السيبراني للأنظمة الحساسة؟
تنطبق الضوابط على الأنظمة التي تعدّها الجهات المالكة لها أو المشغّلة لها حساسة، استناداً إلى معايير الهيئة الوطنية للأمن السيبراني. ويشمل ذلك الجهات الحكومية داخل المملكة أو خارجها، مثل الوزارات والهيئات والمؤسسات والسفارات، والشركات التابعة للجهات الحكومية أو الخاصة. ويجب على كل جهة مشمولة بالنطاق تحديد أنظمتها الحساسة، وتطبيق الضوابط عليها خلال فترة الالتزام التي تحددها الهيئة، والاستمرار في الالتزام بعد انتهاء تلك الفترة.
كيف تُحدَّد الأنظمة الحساسة؟
تُعرِّف ضوابط الأمن السيبراني للأنظمة الحساسة النظامَ الحساس بأنه أي نظام أو شبكة قد يؤدي تعطّلها أو تغييرها غير المصرّح به أو الوصول غير المصرّح به إليها، بما في ذلك إلى بياناتها، إلى تعطيل خدمات الجهة أو إحداث أثر سلبي اقتصادي أو مالي أو أمني أو اجتماعي على المستوى الوطني. ويجوز للجهات استخدام المعايير التالية لتحديد الأنظمة الحساسة.
1.التأثير السلبي على الأمن الوطني، أو على سمعة المملكة وصورتها العامة.
2.خسائر مالية كبيرة تتجاوز 0.01% من الناتج المحلي الإجمالي.
3.التأثير السلبي على الخدمات المقدَّمة لعدد كبير من المستخدمين، بما يتجاوز 5% من السكان.
4.خسائر في الأرواح.
5.الإفصاح غير المصرّح به عن بيانات مصنّفة «سري للغاية» أو «سري».
6.التأثير السلبي على عمليات قطاع حيوي واحد أو أكثر.
كيف تُوسِّع ضوابط الأمن السيبراني للأنظمة الحساسة نطاق الضوابط الأساسية للأمن السيبراني؟
تعتمد CSCC المكونات الأساسية الأربعة نفسها في ECC: حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، وصمود الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية. وتنطلق ضوابط كثيرة من ضابط في ECC وتضيف حدوداً دنيا أكثر صرامة للأنظمة الحساسة.
1.سجلات الأحداث: تفعيل السجلات على جميع المكونات التقنية للنظام الحساس، ومراقبة الأحداث الأمنية للأنظمة الحساسة على مدار الساعة، ومراقبة سلوك المستخدمين وتنبيهات سلامة الملفات، والاحتفاظ بسجلات أحداث الأنظمة الحساسة مدة لا تقل عن 18 شهراً.
2.الأطراف الخارجية: إجراء الفحص أو المسح الأمني لشركات الإسناد والخدمات المُدارة وللعاملين الذين يعملون على الأنظمة الحساسة، والاعتماد على الشركات والجهات السعودية في خدمات الإسناد والخدمات المُدارة للأنظمة الحساسة.
3.الاستضافة: استضافة الأنظمة الحساسة داخل الجهة، أو لدى خدمات حوسبة سحابية مقدَّمة من جهات حكومية أو شركات سعودية ملتزمة بضوابط الأمن السيبراني للحوسبة السحابية (CCC) الصادرة عن الهيئة الوطنية للأمن السيبراني، مع مراعاة تصنيف البيانات.
كيف يُقيَّم الالتزام بضوابط الأمن السيبراني للأنظمة الحساسة؟
تقيّم الهيئة الوطنية للأمن السيبراني الالتزام من خلال التقييمات الذاتية التي تجريها الجهات والتدقيق الميداني، باستخدام الآليات التي تراها مناسبة. كما تنشر أداة لتقييم وقياس الالتزام بضوابط الأمن السيبراني للأنظمة الحساسة. ولا يحدد نص CSCC عقوبات خاصة به. ويستند إلى البند 3 من المادة 10 من اختصاصات الهيئة وإلى المرسومين الملكيين رقم 57231 ورقم 7732.
كيف تُثبت الجهات التزامها بضوابط الأمن السيبراني للأنظمة الحساسة؟
ابدؤوا بسجل الأنظمة الحساسة: ما الأنظمة التي تستوفي المعايير، ومَن يملكها، وما المكونات التي يتألف منها كل نظام. ثم تُبنى أدلة الالتزام بـ CSCC فوق أدلة الالتزام بـ ECC للأنظمة نفسها.
1.سجل الأنظمة الحساسة والتقييم الذي يستند إليه كل قرار.
2.تغطية سجلات الأحداث لجميع المكونات التقنية، مع الاحتفاظ بها لمدة 18 شهراً.
3.سجلات مراقبة الأحداث الأمنية على مدار الساعة وتحليل سلوك المستخدمين.
4.سجلات المسح الأمني وعقود الإسناد والخدمات المُدارة الخاصة بالأنظمة الحساسة.
5.سجلات الاستضافة التي تُبيّن مكان تشغيل كل نظام حساس ومكوناته.
ما موقع Vigilbase من ضوابط الأمن السيبراني للأنظمة الحساسة؟
تحفظ Vigilbase OS السجلات والأحداث المرتبطة قابلة للتدقيق والاستعلام في مكان واحد، وتُسجِّل كل عملية تحقيق الأدلةَ والإجراءَ والتحقق. ويمكن أن يدعم ذلك أدلة المراقبة للأنظمة الواقعة خارج نطاق الأنظمة الحساسة. أما الأنظمة الحساسة، فتحققوا أولاً من متطلبَين في CSCC. يشترط الضابط 4-1-1-2 الاعتماد على الشركات والجهات السعودية في خدمات الإسناد والخدمات المُدارة للأنظمة الحساسة، ويشترط الضابط 2-11-2 الاحتفاظ بسجلات الأحداث لمدة 18 شهراً، مقارنةً بالمدة الافتراضية في Vigilbase OS التي تتراوح عادةً بين 30 و90 يوماً لكل مجموعة بيانات. اطرحوا الأمرين أثناء تحديد النطاق، وتأكدوا مما يمكن أن يشمله التعاقد قبل أن يمسّ أي عمل نظاماً حساساً.
حول هذا الدليل
يلخّص هذا الدليل نص CSCC-1:2019 الذي نشرته الهيئة الوطنية للأمن السيبراني، بحسب ما كان متاحاً في أكتوبر 2026. وهو ليس استشارة قانونية. ولا تزال CSCC تُحيل إلى أرقام ضوابط ECC-1:2018، لذا راجعوا منشورات الهيئة الحالية، وتأكدوا مع المسؤولين القانونيين ومسؤولي الالتزام لديكم من الأنظمة والضوابط المنطبقة.
أبرز النقاط
✓تضيف ضوابط الأمن السيبراني للأنظمة الحساسة 32 ضابطاً أساسياً و73 ضابطاً فرعياً إلى ECC للأنظمة التي تحددها الجهة على أنها حساسة.
✓الالتزام المستمر بالضوابط الأساسية للأمن السيبراني شرط مسبق للالتزام بضوابط الأمن السيبراني للأنظمة الحساسة.
✓يجب الاحتفاظ بسجلات أحداث الأنظمة الحساسة مدة لا تقل عن 18 شهراً، ومراقبتها على مدار الساعة.
✓يجب أن تعتمد خدمات الإسناد والخدمات المُدارة للأنظمة الحساسة على الشركات والجهات السعودية.
حلول ذات صلة
خدمات Vigilbase المرتبطة بهذا الدليل
الأسئلة الشائعة
ما الفرق بين الضوابط الأساسية للأمن السيبراني (ECC) وضوابط الأمن السيبراني للأنظمة الحساسة (CSCC) الصادرة عن الهيئة الوطنية للأمن السيبراني؟
تمثل ECC الحد الأدنى من متطلبات الهيئة الوطنية للأمن السيبراني للجهات الحكومية ومشغّلي البنى التحتية الوطنية الحساسة. أما CSCC فتضيف ضوابط أكثر صرامة للأنظمة التي تحددها تلك الجهات على أنها حساسة، ويُعد الالتزام المستمر بـ ECC شرطاً مسبقاً لها.
ما المدة التي يجب الاحتفاظ خلالها بسجلات الأنظمة الحساسة وفق ضوابط الأمن السيبراني للأنظمة الحساسة؟
مدة لا تقل عن 18 شهراً، وفق الضابط 2-11-2، مقارنةً بمدة لا تقل عن 12 شهراً لسجلات أحداث الأمن السيبراني وفق الضوابط الأساسية للأمن السيبراني.ما الذي يفعله SIEMمسؤوليات العمليات الأمنية
هل يمكن لمزوّد غير سعودي تقديم خدمات مُدارة لنظام حساس؟
يشترط الضابط 4-1-1-2 أن تعتمد خدمات الإسناد الخارجي والخدمات المُدارة للأنظمة الحساسة على شركات وجهات سعودية، وفقًا للمتطلبات التشريعية والتنظيمية ذات العلاقة. تحققوا من ذلك مع المسؤول عن الالتزام لديكم قبل تحديد نطاق عمل أي مزوّد خدمة على نظام حساس.
كيف تتحقق الهيئة الوطنية للأمن السيبراني (NCA) من الالتزام بضوابط CSCC؟
من خلال التقييمات الذاتية التي تجريها الجهات وعمليات التدقيق الميداني. كما تنشر الهيئة الوطنية للأمن السيبراني أداةً لتقييم الالتزام بضوابط CSCC.
ابدأ الآن
هل أنت مستعد لتحسين أمنك؟
يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.